当前位置: 电脑软硬件应用网 > 电脑学院 > 网络安全 > 正文 |
|
|||
S168.exe、msvcrt.dll、Relive.dll木马群的解决 | |||
2007-7-17 14:40:32 文/孤独更可… 出处:孤独更可靠bolg | |||
样本来至卡饭,算是个下载器吧. 比较恶劣,可能导致杀软监控初始化失败! 样本分析: 运行S168.exe 释放: C:\Program Files\Common Files\Relive.dll 14895 字节 C:\Program Files\Internet Explorer\msvcrt.bak 23087 字节 C:\Program Files\Internet Explorer\msvcrt.dll 14895 字节 通过遍历注册表,获得卡吧、360、瑞星、江民等安装目录,在其目录下生成: ws2_32.dll的文件夹(H,S) 可能导致杀软的监控(初始化)失败! 删除文件: %Systemroot%\system32\drivers\etc\Hosts (域名解析文件) 添加注册表: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks 指向:C:\Program Files\Internet Explorer\msvcrt.dll 实现msvcrt.dll开机插入Explorer.exe进程。
释放在:C:\Documents and Settings\%User%\Local Settings\Temp\,并执行。 都是Drop,每个释放一个Dll插进程,盗号木马哈。30多个吧=。=
到down.45its.com下载以下软件: 冰刃.rar和sreng2.zip
执行下面操作前最好全面清理电脑所有临时文件夹。 1、打开冰刃,设置“禁止进线程创建”,确定。 2、使用冰刃“文件”功能,删除: C:\Program Files\Common Files\Relive.dll C:\Program Files\Internet Explorer\msvcrt.bak C:\Program Files\Internet Explorer\msvcrt.dll 然后到C:\Documents and Settings\%User%\Local Settings\Temp\下,强制删除: (注意,%User%是你的用户名)
mhso0.dll
4、重启后,打开SREng,删除: 注册表(详细步骤:打开SREng-启动项目-注册表): [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] <mhsa><C:\DOCUME~1\admin\LOCALS~1\Temp\mhso.exe> [] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] <C:\Program Files\Internet Explorer\msvcrt.dll> [Microsoft Corporation] 5、关于那个ws2_32.dll的文件夹,由于是非法文件夹,所以常规方法删除不了,使用软件强制删除吧。
|
|||
关于45IT | About 45IT | 联系方式 | 版权声明 | 网站导航 | |
Copyright © 2003-2011 45IT. All Rights Reserved 浙ICP备09049068号 |